> setcap даёт cap_net_bind_service перманентно <...>

Ну я на самом деле утрирую. Вещи типа DynamicUser и setcap -- им, безусловно, место в start-stop-daemon.

Впрочем, если бы кому-то было не всё равно на динамический uid или setcap -- давно бы всё там было.

Будем реалистами: Леннарт запилил это чисто для себя любимого.

Для сумневающихся, объясняю:

root@indexer01:/lib/systemd# find . -name \*.service  | wc -l
238
root@indexer01:/lib/systemd# grep -rin DynamicUser= . 
./system/systemd-timesyncd.service:28:DynamicUser=yes
root@indexer01:/lib/systemd# grep -rin AmbientCapabilities= . 
./system/systemd-resolved.service:30:AmbientCapabilities=CAP_SETPCAP CAP_NET_RAW CAP_NET_BIND_SERVICE
./system/systemd-networkd.service:29:AmbientCapabilities=CAP_NET_ADMIN CAP_NET_BIND_SERVICE CAP_NET_BROADCAST CAP_NET_RAW
./system/systemd-timesyncd.service:30:AmbientCapabilities=CAP_SYS_TIME

Всё. Из 238 сервисов только 4 используют это. И те -- systemd-шные.

> В остальном, результат будет конечно же одинаковый — endlessh запущенный от nobody и слушающий порт 22.

Ну, вообще-то... DynamicUser и специальный юзер nobody -- это несколько разные вещи... Но в целом да, почти тот же фиг.